Openwave Webtop Media Transcoder: stará chyba převodníku dokumentů se zneužívá

Co se stalo

Openwave Messaging dodává poskytovatelům internetu a telekomunikačním operátorům systémy pro hromadný e-mail, mimo jiné webmail Webtop. Jeho součástí je Media Transcoder, který podle popisu výrobce převádí dokumenty – správce v něm může nastavit, které typy souborů se převádět smějí a které ne.

Výrobce zveřejnil 7. října 2026 upozornění CAN-2026-2032674 k chybě, která později dostala číslo CVE-2026-111793: převodník ve verzích před 1.1.22.0 omezení typů souborů nevynucuje. Databáze NVD záznam zveřejnila 16. října.

9. listopadu 2026 vydalo japonské koordinační centrum JPCERT/CC záznam JVNVU#93403064, podle kterého výrobce útoky využívající tuto chybu zaznamenal. Americká agentura CISA chybu 10. listopadu 2026 zařadila do katalogu prokazatelně zneužívaných zranitelností (KEV) a federálním úřadům dala na nápravu čas do 24. listopadu 2026. NVD záznam analyzovala 11. listopadu.

Podstatná okolnost: opravená verze 1.1.22.0 podle upozornění výrobce vyšla už 6. prosince 2021. Nejde tedy o novou chybu, ale o nově potvrzené zneužívání instalací, které se dlouho neaktualizovaly.

Jak vážné to je

Hodnocení si odporuje. Vektor CVSS počítá jen s malým dopadem na dostupnost a s žádným na důvěrnost. JVN naopak uvádí, že přihlášený útočník, který podle určitého postupu nahraje speciálně upravený soubor, může získat citlivé informace. Pro rozhodnutí, kdy aktualizovat, je důležitější potvrzené zneužití než číslo 4,3.

Technické podrobnosti

Správce převodníku může zakázat převod vybraných typů dokumentů. Kontrolu ale podle výrobce provádí jen rozhraní webmailu, ne samotný převodník. Přihlášený uživatel, který obejde webmail a obrátí se na převodník přímo, nechá převést i typy souborů, které měly být zablokované.

Proč to vadí: převodníky dokumentů zpracovávají složité formáty a omezení typů bývá ochrana právě před těmi, u kterých hrozí únik dat nebo jiné problémy při zpracování. Výrobce, NVD ani JVN nezveřejnily, které typy souborů útočníci zneužívají, jaké informace mohou získat, ani jak útoky probíhaly. Podrobnosti doplníme do Aktualizace, až vyjdou. Návod ke zneužití z principu neuvádíme.

Koho se to týká

Zranitelný je Webtop Media Transcoder ve všech verzích starších než 1.1.22.0 (podle NVD na Linuxu). Výrobce jako nápravu doporučuje přechod na nejnovější podporované vydání Media Server 2.0.

Jednat musí poskytovatelé e-mailu a operátoři, kteří Webtop provozují. Uživatelé jejich schránek nic neopravují. Protože útok vyžaduje přihlášení, jsou riziková hlavně prostředí s velkým počtem uživatelů – a tedy i s ukradenými hesly k jejich schránkám.

Jak poznat napadení

Výrobce, CISA ani JVN indikátory napadení nezveřejnily. Na základě popisu chyby doporučujeme (naše doporučení, ne výrobce):

• Ověřte verzi převodníku na všech serverech. Cokoli pod 1.1.22.0 považujte za vystavené riziku.
• Projděte logy převodníku a hledejte požadavky, které nepřišly ze serverů webmailu, a převody typů souborů, které máte zakázané.
• Hledejte podezřelé účty: přihlášení z neobvyklých adres a účty, které převodník volají výrazně častěji než ostatní.

Adresy z exportu logů si vytáhnete do seznamu v našem extraktoru IOC, který běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte převodník aspoň na 1.1.22.0, podle výrobce nejlépe na nejnovější podporované vydání Media Server 2.0.
2. Omezte síťový přístup k převodníku jen na servery webmailu, které ho potřebují. Chyba stojí na tom, že uživatel rozhraní webmailu obejde. Pravidla si připravíte v naší kalkulačce podsítí.
3. Zkontrolujte logy podle předchozí části za co nejdelší období, protože zranitelné verze mohly běžet roky.
4. Prověřte účty uživatelů: vynuťte změnu hesla u účtů s podezřelou aktivitou a nabídněte dvoufázové ověření.
5. Americké federální úřady postupují podle pokynu CISA (BOD 26-04 a požadavky na forenzní třídění) do 24. 11. 2026.

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.